To, co przekazał Ci bank, to token bezpieczeństwa USB z certyfikatem cyfrowym ( taki jak te). Są to znormalizowane urządzenia sprzętowe, które prawie każdy system operacyjny obsługuje plug&play po wyjęciu z pudełka. Są bardzo powszechne we wdrażaniu uwierzytelniania wieloskładnikowego w systemach o wysokim poziomie bezpieczeństwa w przedsiębiorstwach IT.

Twoja przeglądarka internetowa korzysta z protokołu HTTPS z certyfikatami klienta w celu uzyskania dostępu do witryny banku. Używa magazynu certyfikatów systemu operacyjnego, aby znaleźć zainstalowany certyfikat, który pasuje do tożsamości żądanej przez serwer sieciowy. Gdy masz zainstalowany standardowy token zabezpieczający USB, system operacyjny będzie również szukał wszelkich certyfikatów w tokenie.

System operacyjny nie może samodzielnie przeprowadzić procesu weryfikacji z serwerem WWW, ponieważ token nie pozwala bezpośrednio odczytać klucza prywatnego przechowywanych na nim certyfikatów. Token zawiera sprzęt do weryfikacji. Tak więc klucz prywatny nigdy nie opuszcza pamięci USB. Oznacza to, że nawet jeśli twój komputer jest zagrożony przez złośliwe oprogramowanie, klucz prywatny certyfikatu nie jest zagrożony kradzieżą (ale pamiętaj, że ta metoda nie zapewnia żadnej ochrony po pomyślnym uwierzytelnieniu. Złośliwe oprogramowanie nadal może się zepsuć) Twoja przeglądarka internetowa).

Przy okazji: który to bank? Gdyby mój bank również obsługiwał tę metodę uwierzytelniania, mógłbym nawet zacząć korzystać z bankowości internetowej.

Jednym ze sposobów może być to, że Chrome obsługuje FIDO U2F bez wtyczki. Biorąc pod uwagę, że obecnie Chrome jest obecnie najpopularniejszą przeglądarką i że działa w systemach Windows, Mac i Linux, nie jest całkowicie błędne twierdzenie, że „działa na każdym urządzeniu z portem USB, Windows, Mac, Linux i nie tylko, oraz do pracy po wyjęciu z pudełka ”.

Czy twierdzili, że działa w dowolnej przeglądarce lub w dowolnym systemie operacyjnym?

.... nie wymagają od użytkownika instalowania żadnego oprogramowania na komputerze .... Sądziłem, że możliwość swobodnego przeglądania systemu plików przez stronę internetową bez działania użytkownika jest zbyt często ograniczona przez domyślnie

Tak, zdecydowanie nie powinno to być możliwe bez sterowników kart inteligentnych. Jest to podstawowy mechanizm bezpieczeństwa każdej przeglądarki. Co daje clou, że certyfikat jest czytany bez klikania „otwartego pliku” okno dialogowe, okno dialogowe Java lub preinstalowanie sterowników? Powiedziałeś, że wybrałeś inną opcję weryfikacji.

To brzmi jak klucz USB używany na przykład przez Bank Of China. Taka technologia jest opisana tutaj.

podobno jest kompatybilna z „każdym urządzeniem z portem USB”

Posiadanie certyfikat PKCS # 11 lub # 12 w połączeniu z hasłem będzie działać we wszystkich systemach operacyjnych. Jest to taki sam sposób, w jaki menedżery haseł, takie jak praca keepass, łączą coś, co wiesz, z czymś, co musisz uzyskać 2 czynniki uwierzytelniania.

Prawdopodobnie jest to tylko czytnik kart inteligentnych USB z włożoną kartą inteligentną o rozmiarze karty SIM.

Ręczna instalacja sterowników nie jest potrzebna, ponieważ przynajmniej ogólne sterowniki zarówno dla czytnika, jak i karty są już zainstalowane w większości nowoczesnych systemów operacyjnych.

Zobacz poniższy obrazek, na przykład takiego urządzenia:

W czytniku na karcie SIM znajduje się certyfikat z kluczem prywatnym. Po podłączeniu go do komputera certyfikat z karty inteligentnej zostanie załadowany do magazynu certyfikatów systemu operacyjnego. Od tego momentu zachowuje się w zasadzie jak każdy inny certyfikat, który jest zapisywany na komputerze i może być używany do uzyskiwania dostępu do zabezpieczonych zasobów, podpisywania dokumentów / poczty, szyfrowania rzeczy itp.

W szczególności ten jest wydawany przez Cert Autorytet, któremu zaufał mój bank (bankowość internetowa) i stan (najczęściej używany przeze mnie do spraw związanych z IRS i zwracania się o prawdziwe dokumenty).

Najprawdopodobniej jest to urządzenie udające klawiaturę i dlatego jest rozpoznawane przez dowolny system operacyjny bez konieczności stosowania specjalnych sterowników. Wewnętrznie prawdopodobnie użyłby HOTP (lub TOTP, gdyby miał chip RTC i baterię) i po prostu „wpisałby” OTP za każdym naciśnięciem przycisku, jak Yubikey lub podobne urządzenie U2F.

Przeglądarka nie mówi ani nie wie, że jest tam USB; po prostu instruuje użytkownika, aby nacisnął fizyczny przycisk na urządzeniu (aby nakazać urządzeniu "wpisanie" kodu, ponieważ sama przeglądarka nie może z nim rozmawiać), a następnie interpretuje dowolne naciśnięcia klawiszy (do długości kodu) odbiera jako pochodzące z urządzenia.

Brzmi jak teoretyczny pomysł, który miałem około dekady temu.

Prawie każdy system operacyjny obsługuje urządzenia sieciowe USB. Twoja pamięć USB może udawać kartę sieciową, podłączoną do sieci lokalnej, z serwerem internetowym również w tej sieci. Ten serwer sieciowy również może mieć certyfikaty HTTPS.

Twoja przeglądarka internetowa może wysyłać żądania HTTPS do tego serwera sieciowego i odkrywać, że pamięć USB i witryna banku ufają sobie nawzajem. Nie jest to uważane za ucieczkę z piaskownicy, ponieważ ani przeglądarka, ani system operacyjny nie wiedzą, że serwer sieciowy jest w rzeczywistości na pamięci USB.

Ostrzeżenie dotyczące własności intelektualnej: zgodnie z moją najlepszą wiedzą mój były pracodawca posiada patent na temat tego pomysłu w większości jurysdykcji. Przed skopiowaniem tego pomysłu skontaktuj się z rzecznikiem patentowym.

Jak wspomniano w niektórych innych odpowiedziach, najprawdopodobniej jest to token bezpieczeństwa USB. Pomyśl o tym jak o czytniku kart inteligentnych + wbudowanej karcie inteligentnej (a czasami są one faktycznie realizowane w ten sposób). Pomyśl o karcie CAC używanej przez amerykańskie organizacje obronne. Pomyśl o karcie PGP. Niektóre modele Yubikey obsługują również działanie jako karta inteligentna.

Tego rodzaju urządzenia są szeroko stosowane przez banki w Chinach do ochrony ich witryn bankowych online / oprogramowania klienckiego, a moja odpowiedź opiera się głównie na moich osobistych doświadczeniach używając tych tokenów w Chinach.

Jak z niego korzystasz?

Kiedy rejestrujesz się w bankowości internetowej i wybierasz token USB, bank przekazuje ci token, tworzy publiczną / private key oraz certyfikat osobisty i załaduj je do tokena. Ustawiasz hasło na tokenie, które jest niezależne od hasła logowania do bankowości internetowej.

Instalujesz sterownik dostarczony przez bank na swoim komputerze osobistym, podłączasz token i przechodzisz do strony internetowej banku. Za każdym razem, gdy logujesz się lub wykonujesz wrażliwą operację (przelew środków, zmiana danych kontaktowych, autoryzacja zakupu online itp.), Przeglądarka / system operacyjny prosi o podanie hasła tokena, lampka na tokenie miga przez kilka sekund, a transakcja przechodzi.

Czekaj, muszę zainstalować sterowniki?

Tak. System operacyjny Windows ma standardowy interfejs karty inteligentnej, ale każdy model tokena USB nadal wymaga sterownika. Bardzo rzadko Windows Update zainstaluje odpowiednie sterowniki, ale w większości przypadków będziesz musiał pobrać pakiet ze strony banku.

Często jedynym obsługiwanym systemem operacyjnym jest Windows, a jedyną obsługiwaną przeglądarką jest IE. (Podobają im się niektóre ActiveX.) Z pewnością ogólnie możliwe jest, aby karty inteligentne / tokeny USB obsługiwały inne systemy operacyjne / przeglądarki, patrz karta CAC powyżej; musisz sprawdzić zgodność ze swoim własnym bankiem.

Jak więc Cię uwierzytelnia?

Przeglądarka prosi system operacyjny o zażądanie od tokena podpisania niewielkiej ilości danych (na przykład szczegółów transakcji). Token podpisuje go przy użyciu klucza prywatnego i certyfikatu. Przeglądarka przesyła podpis do banku. Bank weryfikuje podpis i upewnia się, że tylko token, który ci dał, ma klucz prywatny do stworzenia tego podpisu.

Klucz prywatny nigdy nie opuszcza tokena. Prawidłowo zaprojektowany token nie powinien nigdy ujawniać klucza prywatnego.

Przede wszystkim chciałbym powiedzieć, że jestem dość sceptyczny wobec twierdzenia nietechnicznego pracownika, że ​​działa on na „każdym urządzeniu z portem USB”, niezależnie od przeglądarki czy systemu operacyjnego. Nie zdziwiłbym się, gdyby obsługiwany system operacyjny okazał się tylko kilkoma wersjami systemu Windows (i być może MacOS). Warto jednak pomyśleć, jak takie urządzenie mogłoby działać.

Większość rozwiązań niewymagających sterowników, jak propozycja André Borie dotycząca klawiatury USB, wymagałaby jednak dodatkowego interfejsu (np. Przycisku sprzętowego).

Mimo to post user2720406 dał mi pomysł na urządzenie, które rzeczywiście działałoby [w określonych miejscach] dla każdego [włączonego] urządzenia z portem USB:

Urządzenie USB zawierałoby po prostu kartę SIM, używaną do samodzielnego uzyskiwania dostępu do Internetu za pośrednictwem GPRS / 3G. Wtedy urządzenie po prostu wysyła podpisane cyfrowo wiadomości „Klient z tokenem 12312121 korzysta z bankowości internetowej”. Sesja online nie jest dozwolona, ​​chyba że została odebrana w ciągu ostatnich 5 minut (plus być może inne czynniki, takie jak adres IP klienta, który ma podobną geolokalizację do adresu IP urządzenia). Dlatego port USB byłby używany tylko do zasilania, a urządzenie byłoby całkowicie niezależne od tego, co jest zainstalowane na komputerze.

To brzmi jak Yubikey. Są dobrze znane i działają świetnie. https://www.yubico.com/products/yubikey-hardware/yubikey4/

• Jeśli chodzi o brak sterowników: Yubikey identyfikuje się jako klawiatura, więc każda maszyna ze sterownikiem klawiatury może odczytać wynik tekstowy z niej.
• Jak to działa: Naciskasz przycisk, a Yubikey wydaje klucz publiczny (z wbudowanego bezpiecznego klucza prywatnego w urządzeniu). Bank może Cię uwierzytelnić i potwierdzić, że masz to, co znasz (Twoje hasło) i to, co posiadasz (Twój fizycznie zabezpieczony klucz prywatny).

• Dlaczego jest to bezpieczne: oprogramowanie na Twoim komputerze nie jest możliwe aby uzyskać dostęp do klucza prywatnego, aby złośliwe oprogramowanie nie mogło go skopiować i udawać Ciebie. Musiałoby to zostać ci fizycznie skradzione. (co jest możliwe, ale dlatego łączysz je z czymś, co znasz)

• Kto ich używa i dlaczego: Google pomogło zaprojektować yubikey, aby mogły rozwiązać problem złośliwego oprogramowania na komputer przechwytujący lokalne poświadczenia podczas nieobecności użytkownika. Każdy inżynier Google ma taki. Używam ich od lat i wdrażam wokół nich liczne rozwiązania 2fa.